使用refresh_token刷新Microsoft Graph令牌时工作账户报错AADSTS65001

针对你遇到的个人账户刷新令牌正常、工作账户触发AADSTS65001错误的问题，结合你的技术栈和流程，给出以下排查和解决方法：

1. 确认租户权限同意状态 #

工作账户所属的Azure AD租户可能启用了管理员同意强制策略，即第三方应用的权限请求必须经过租户管理员预先同意：

• 可让租户管理员登录Azure门户，找到你的应用注册，在「API权限」页面点击「授予管理员同意」，完成租户级权限同意；
• 若用户具备租户管理员权限，可在第一次授权时，在getAuthCodeUrl参数中添加prompt: 'admin_consent'，触发管理员同意流程。

2. 确保授权请求包含完整权限范围 #

检查生成授权码URL时的scopes参数，必须明确包含所有所需权限，避免授权时遗漏导致后续刷新报错：

const authCodeUrlParameters = {
    scopes: ['Calendars.ReadWrite', 'offline_access', 'User.Read'],
    redirectUri: '你的重定向URI'
};
const authUrl = msalClient.getAuthCodeUrl(authCodeUrlParameters);

3. 使用MSAL内置方法刷新令牌 #

不要手动调用token端点，改用@azure/msal-node提供的acquireTokenByRefreshToken方法，MSAL会自动处理令牌缓存、租户识别等细节：

const refreshTokenRequest = {
    refreshToken: '保存的用户刷新令牌',
    scopes: ['Calendars.ReadWrite', 'User.Read'],
    account: msalClient.getTokenCache().getAccountByHomeId('用户的homeAccountId')
};

msalClient.acquireTokenByRefreshToken(refreshTokenRequest)
    .then(response => {
        // 使用新访问令牌创建日程
    })
    .catch(error => {
        // 若仍触发AADSTS65001，需重新引导用户完成交互式授权
    });

4. 动态切换工作账户的Authority #

common Authority适用于多租户场景，但对于已认证的工作账户，建议使用其所属租户的专属Authority，避免刷新时的租户识别偏差：

• 第一次获取令牌后，从返回的account对象中提取tenantId；
• 后续刷新令牌时，创建新的ConfidentialClientApplication实例，将authority设置为https://login.microsoftonline.com/{tenantId}/。

5. 验证刷新令牌的有效性 #

• 确认保存的刷新令牌与工作账户的homeAccountId正确关联，未与个人账户令牌混淆；
• 若刷新令牌超过90天未使用，Azure AD会自动失效该令牌，此时需重新引导用户完成交互式授权，获取新的刷新令牌。

内容的提问来源于stack exchange，提问作者mardes